Partiamo dalla cosa scomoda: se ti chiedessero adesso l’elenco dei componenti software che stanno dentro il tuo gestionale, il tuo portale ordini o l’area clienti del sito, quasi certamente non lo avresti. Non è una tua mancanza — quasi nessuna PMI ce l’ha. Ma è esattamente il motivo per cui una notizia come questa è difficile da usare.
Il fatto è questo: una libreria chiamata Fastjson, sviluppata da Alibaba e usata da moltissime applicazioni scritte in Java, ha una falla grave. Gli attacchi sono già in corso. E la cosa che rende la settimana diversa dal solito è che una versione corretta non esiste ancora.
Cosa è successo, in parole non tecniche
Fastjson serve a far leggere a un programma i dati che arrivano dall’esterno — quando un cliente compila un modulo, quando un’app parla con un’altra, quando un gestionale riceve un ordine. È un pezzo di infrastruttura invisibile: nessuno lo compra, arriva insieme al software.
Il difetto è identificato come CVE-2026-16723, con gravità 9 su 10 assegnata dallo stesso Alibaba. In condizioni ben precise, un messaggio confezionato ad arte inviato all’applicazione permette a un estraneo di far eseguire comandi sul server, senza avere alcuna password.
Le società di sicurezza ThreatBook e Imperva riferiscono che qualcuno sta già cercando attivamente sistemi vulnerabili in rete. I settori indicati come bersaglio sono finanza, sanità, retail e informatica, con la gran parte dei casi osservati negli Stati Uniti.
Come capire se ti riguarda, senza essere un informatico
Non serve che tu sappia cos’è una libreria. Servono tre condizioni, e devono valere tutte e tre insieme:
- il software è scritto in Java (spesso descritto dal fornitore come «applicazione Java» o «Spring Boot»);
- è raggiungibile dall’esterno — un portale clienti, un’area riservata fornitori, un’app che si collega da fuori, un servizio che riceve ordini da un marketplace;
- usa una versione di Fastjson del ramo 1.x, cioè quello vecchio.
Chi usa solo software in cloud comprato a canone — la maggior parte dei gestionali venduti come servizio — non deve fare nulla in prima persona: in quel caso il server è del fornitore, ed è lui a doversi muovere. Ma vale comunque la pena chiederglielo per iscritto, perché la risposta ti dice molto sulla sua serietà.
Il pericolo non è il computer sulla tua scrivania. È il server, tuo o del tuo fornitore, che tiene aperto verso internet il portale con cui clienti e fornitori lavorano. Quel portale è nato per essere raggiungibile: è la sua funzione. Ed è per questo che quando un componente al suo interno si rivela difettoso, la porta è già aperta.
Le tre domande da mandare via mail
Non al telefono. Via mail, perché la mail resta e fissa una data.
- I software che ci avete fornito, o che gestite per noi, usano Fastjson nel ramo 1.x? Se sì, quali e su quali server.
- Se sì, avete già attivato le misure di contenimento indicate dal produttore in attesa della correzione definitiva? Con quale data.
- Chi ci avvisa, e in quanto tempo, quando la versione corretta sarà disponibile?
La terza è la più importante e la meno ovvia. Nella maggior parte dei contratti di assistenza a chiamata non è previsto che qualcuno ti avvisi: si interviene quando qualcosa non funziona, e un server con una falla funziona benissimo. È il motivo per cui questi problemi restano aperti per mesi in aziende che pagano regolarmente un canone di manutenzione.
Il problema vero non è questa falla
Fra un mese Fastjson sarà corretto e nessuno ne parlerà più. Ma la domanda che questa vicenda ti mette davanti resterà identica alla prossima occasione: quando esce una notizia del genere, tu sei in grado di sapere in mezz’ora se ti riguarda?
Se la risposta è no, l’intervento utile non è tecnico, è contrattuale. Si tratta di chiedere una volta sola, al fornitore, l’elenco dei componenti principali dei software che ti ha venduto, e di far scrivere nel contratto di assistenza chi ha il compito di monitorare gli avvisi di sicurezza su quei componenti e di segnalarteli.
In breve
La libreria Java Fastjson, presente in moltissime applicazioni aziendali, ha una falla grave identificata come CVE-2026-16723, gravità 9 su 10, che consente a un estraneo di eseguire comandi su un server raggiungibile da internet senza possedere credenziali. Riguarda le versioni dalla 1.2.68 alla 1.2.83 del ramo 1.x. Gli attacchi sono in corso secondo ThreatBook e Imperva, e al 25 luglio non esisteva ancora una versione corretta: solo misure di contenimento da attivare. Il criterio per capire se ti riguarda non è tecnico — software Java, raggiungibile dall’esterno, ramo 1.x — e la risposta va chiesta per iscritto a chi il software te lo ha venduto, insieme all’impegno ad avvisarti quando la correzione uscirà.